JPCERT注意喚起を情シスの週次点検に API・管理画面・BIツールの確認先

JPCERT/CCが2026年10月8日に出した注意喚起は、国内組織で相次ぐ個人情報などの漏えいを受けたものです。読んだだけでは、何から手を付けるかが決まりません。この記事は、その手口と対策を、情シスが今週やる点検に分けて、確認する場所まで書きます。

注意喚起の内容そのものは、自動の記事 JPCERT/CCが国内の不正アクセスに注意喚起、API管理の点検を にまとめています。ここでは繰り返さず、背景と実作業を厚く書きます。

注意喚起は、どんな攻撃を取り上げたのか

JPCERT/CCは、2026年9月前後に国内組織で個人情報などの漏えい被害が相次いでいると書いています。複数の製品やサービスで被害が出ている一方、技術的な情報の共有が足りず、把握している情報は「限定的かつ断片的」としています。

取り上げたのは、ふだん断続的に起きているランサムウェア攻撃などとは別の、大量の個人情報の漏えいにつながっている攻撃です。特に増えている恐れがあるものとして、次の3つのケースを挙げています。

注意喚起には、すべての事案で同じ手法が使われたことを示すものではない、という但し書きがあります。個別の漏えいの原因を、この資料だけで決めつけることはできません。

一般利用者向けのアプリのほか、BI（ビジネスインテリジェンス）ツールや従業員向け管理システムなど、管理・運用側で不特定多数の利用者からのアクセスを想定していないシステムが被害に遭い、内部に保存していた情報が漏えいするケースもあります。

なぜ「社内向けだから大丈夫」が通らないのか

上の引用が、この注意喚起でいちばん情シスに関係する部分です。社内の人しか使わない管理画面やBIツールは、「社外の人は来ない」という前提で、認証や公開範囲が甘くなりがちです。

ところが、インターネットから届く状態であれば、攻撃する側にとっては公開サービスと変わりません。ケースAのように、標的ごとに脆弱性を探す攻撃では、社内向けかどうかは関係なく見つかります。

なお、BIツールとは、社内のデータを集計して表やグラフにする道具です。顧客データや売上のデータベースにつながっていることが多く、入られると中身をまとめて読まれます。

うちの会社は関係あるか

注意喚起は、対象外とできる業種・規模・製品の条件を書いていません。次のように考えると、点検の優先順位が付けやすくなります。

• 優先度が高い: インターネットから届く管理画面、BIツール、従業員向けシステムがある会社。顧客向けのスマートフォンアプリや、そのAPIを持つ会社。
• 優先度が高い: Metabaseを使っている会社(自社運用でも、委託先が運用していても)。
• 点検は必要: 上のどれも無いと思っている会社。「無いと思っている」ことの確認が、最初の作業になります。

今週やること 何を・どこで確かめるか

以下の「公式に書かれていること」は注意喚起の記載です。確認する画面や担当は、情シスが動きやすいように編集部が整理したもので、製品ごとに画面名は異なります。

1. インターネットに見えている管理機能を洗い出す

注意喚起は、業務上必要のないサービスや機能(管理機能など)がインターネットに公開されている場合、公開を止めるよう求めています。

台帳に無いのに開いているものが見つかったら、それ自体が成果です。委託先が立てたものも含めて、台帳に書き加えます。

2. 使っている製品の版を確かめる(Metabaseを例に)

注意喚起は、既知の脆弱性の影響を受ける版で運用しているなら、修正済みのアップデートを適用するよう求めています。Metabaseについては、2026年8月14日の注意喚起(JPCERT-AT-2026-0023)に、影響を受ける版が書かれています。

Metabaseは、58系より前の版は影響を受けないとしています。また、Metabase Cloudの環境では対策が実施済みとのことです。自社で動かしている場合は、管理画面の版表示か、動かしているコンテナやパッケージの版で確かめ、Metabaseの最新の案内に従って更新します。

すぐに更新できないときの一時的な回避策として、Metabaseは、ネットワーク機器などで /api/session/reset_password へのアクセスを遮断することを案内しています。

インターネットから届く状態で運用していた場合は、更新だけで終わらせません。Metabaseは、次の2つのアクセスが続けて記録されていれば、侵害されている可能性が高いとしています。

• POST /api/session/reset_password(HTTPステータスコード400)
• GET /api/user/current(HTTPステータスコード200)

確認先は、Metabaseのログと、手前にあるネットワーク機器やリバースプロキシのログです。当てはまる記録があれば、ユーザーセッション、APIキー、管理者アカウントを確かめ、接続先データベースの認証情報を変えることをMetabaseは勧めています。

3. APIの制限・認可・権限を確かめる

注意喚起の対策のうち、API経由のアクセスへのものは6つです。開発担当や委託先に、次の表で聞いていくと抜けが出にくくなります。

詳しい考え方は、注意喚起が参考情報に挙げている OWASP の「OWASP Top 10 API Security Risks 2023」と「REST Security Cheat Sheet」にあります。

4. 公開しているスマートフォンアプリに、強いキーを入れていないか

注意喚起は、一般公開のスマートフォンアプリを解析し、APIの接続先やキーを特定する手口の報告を挙げています。

ここから先は編集部の読みです。アプリの中に入っているものは、利用者の手元で取り出されるものとして扱う必要があります。アプリに埋め込んだキーが、管理用の操作や他人のデータの参照までできる強さになっていないかを、開発担当に確かめてください。

5. ログで、あとから調べられるかを確かめる

注意喚起は、不正アクセスの検知体制と、検知時の初動対応を見直すよう求めています。まず、調べられる状態かどうかです。

• ユーザー権限の変更、アカウントの作成、トークンの発行が、いつ・誰の名前で行われたか、ログに残っているか
• APIへのアクセスのログに、送信元のIPアドレスとUser-Agentが残っているか
• そのログを、どのくらいの期間さかのぼれるか

注意喚起には、9月ごろに悪用されたとされるIPアドレスと、User-Agentの例が載っています。

IPアドレスの表記は、注意喚起のとおり、点を [.] で囲んでいます。ログで探すときは [.] を . に直します。

6. 広がりを抑える仕組みと、あとの連絡を見直す

注意喚起は、そのほかの対策として次の項目を挙げています。それぞれ、確認する場所を添えます。

最後の項目は、漏えいしたときの被害の大きさを、そのまま小さくします。環境設定ファイルやバックアップを盗まれる手口(ケースA)でも、古いバックアップが残っていれば、そこから読まれます。

社内に回す連絡文の例

上司や関係部署に、点検を始めると伝える文面の例です。そのまま使えます。

件名: JPCERT/CCの注意喚起への対応(今週の点検)

JPCERT/CCが10月8日、国内組織での不正アクセスについて注意喚起を出しました。当社でも、インターネットから見える管理画面、APIの権限、トークン、利用製品の版を点検します。 各システムの担当者は、[日付]までに、公開の有無と、トークンの権限・有効期限を情シスへ報告してください。何かを止める必要がある場合は、先に情シスへ相談してください。

今日からできること

• インターネットから見える管理画面を3つ書き出します。思い当たらなければ、DNSの登録とファイアウォールの許可ルールを見ます。
• Metabaseを使っているかを、部署と委託先に聞きます。使っていれば、版を確認します。
• 無効化の手順が決まっていないトークンが、1つでもあるかを開発担当に聞きます。

JPCERT/CCは、侵害の原因や攻撃手法の情報提供と、インシデント対応の相談を受け付けています。注意喚起には新しい情報が分かれば更新するとあるため、点検の途中でも、元のページの更新を確かめてください。